0x657 - Teknik - La guerre Red Team vs EDR : l’aspect business et non technique du problème
Mots-clés
Résumé
220 mots
Évaluation critique
Valeur des informations & solidité de l’argumentation
La valeur des informations est élevée grâce à l’expérience terrain de l’expert. Il fournit des exemples concrets de techniques d’évasion et de leurs implications business. L’argumentation est solide, basée sur des observations pratiques et des anecdotes professionnelles. Il nuance ses propos en reconnaissant que les EDR sont utiles pour bloquer les attaques triviales, mais insuffisants seuls. Il critique l’industrie pour son approche commerciale, mais sans tomber dans le cynisme. La démonstration est structurée et progressive, allant du fonctionnement des EDR aux techniques d’évasion, puis aux recommandations.
Rigueur scientifique, qualité des sources, adéquation du titre
La rigueur scientifique est bonne : l’expert cite des techniques spécifiques et des exemples concrets (CrowdStrike, Broadcom, Sysmon). Cependant, il ne fournit pas de références bibliographiques directes, ce qui limite la vérification. La qualité des sources est donc moyenne, mais l’expertise est reconnue. L’adéquation titre/contenu est bonne : le titre met l’accent sur l’aspect business, ce qui est bien développé dans l’épisode. Les commentaires ne sont pas fournis, donc aucune analyse des tendances du public n’est possible.
178 mots
Adéquation titre / contenu
Le titre reflète bien le contenu : l'accent est mis sur l'aspect business et les considérations non techniques des EDR, tout en abordant des aspects techniques.
Qualité & fiabilité
8/10
L'expert partage son expérience terrain avec des exemples concrets et des références à des techniques spécifiques (user mode hooking, ETW, PPL). Le discours est nuancé et reconnaît les limites des EDR. Toutefois, certaines affirmations ne sont pas sourcées directement et le format podcast limite la vérification.
Moments clés
Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.
- Introduction et présentation du sujet : la guerre Red Team vs EDR.
- Distinction entre EDR, XDR, NDR et l'importance de la télémétrie réseau.
- Explication du fonctionnement des EDR : analyse statique, user mode hooking, kernel callbacks, ETW.
- Discussion sur les PPL (Protected Process Light) et l'incident CrowdStrike.
- Techniques d'évasion simples : modification de PinkCastle, désactivation réseau des EDR.
- Exemple de backdoor redécouverte : code archivé depuis 8 ans sur GitHub.
- Recommandations : importance de Sysmon, visibilité réseau, segmentation.
- Conclusion : nécessité de garder l'intelligence à l'interne et de collaborer entre Blue et Red Teams.
Sources citées
- CrowdStrike incident — Mentionné comme exemple de crash kernel dû à une erreur de code.
- Sysmon — Recommandé pour augmenter la visibilité.
- Cobalt Strike — Framework mentionné pour les BOF et l'évasion.
Sources concordantes
- Sysmon — Recommandé pour augmenter la visibilité, en accord avec les propos de l'expert.
Apport & nouveautés
L’apport original de cet épisode est de mettre en lumière l’aspect business et non technique des EDR, souvent négligé dans les discussions techniques. L’expert partage des techniques d’évasion concrètes et des exemples de la vie réelle, ce qui apporte une perspective pratique. Il insiste sur l’importance de la visibilité réseau et de la collaboration entre équipes.
Pour aller plus loin :
- Endpoint Detection and Response (EDR) — Pour comprendre les bases des EDR.
- Event Tracing for Windows (ETW) — Pour approfondir la télémétrie Windows.
- Protected Process Light (PPL) — Pour comprendre les mécanismes de protection des processus.
97 mots
Profil radar
Le profil radar montre des scores élevés en quantité et qualité d'information, ainsi qu'en fiabilité, mais un niveau technique légèrement inférieur, ce qui indique un contenu accessible mais riche. La fiabilité globale est bonne grâce à l'expérience de l'expert.